Printcart Store: przesyłanie dowolnych plików i RCE (CVE-2026-19803)
W wtyczce Printcart Store – Web to Print Product Designer for WooCommerce opisano lukę CVE-2026-19803 (CVSS 9.8). Handler AJAX `nbu_crop_image` przyjmuje parametr `url` bez normalizacji `../`, więc nieuwierzytelniony atakujący może zapisać plik PHP poza katalogiem uploads.
Sprawdzane w Shield: nie
Kogo dotyczy
Dotyczy wszystkich wersji wtyczki do 2.13.2 włącznie. Luka jest podatna na atak tylko wtedy, gdy opcja `nbdesigner_upload_popup_style` ma wartość `a` (Advanced Upload Popup). Nonce `save-design` jest widoczny na publicznej stronie `upload-design-file`.
Jak sprawdzić u siebie
W panelu WordPress otwórz listę wtyczek i sprawdź wersję Printcart. Wartość opcji sprawdzisz poleceniem `wp option get nbdesigner_upload_popup_style` lub w ustawieniach wtyczki.
Jak naprawić
Źródło nie podaje wersji z poprawką. Do czasu publikacji łatki możesz dezaktywować wtyczkę lub nie używać trybu Advanced Upload Popup oraz śledzić aktualizacje.
Co sprawdza Shield nie jest sprawdzane
Sprawdzane w Shield: nie. Z zewnątrz zwykle tego nie widać albo kontroli jeszcze nie dodano; zbieramy takie przypadki i dodajemy kontrole partiami.
Warto wiedzieć
Wersja z poprawką i ewentualne wykorzystanie luki w atakach nie zostały jeszcze ujawnione. Źródło: NVD, CVE-2026-19803.
